🚀 go-pugleaf

Jocab wrote:

<knip>
> Nu vroegen we ons af welke distributie hiervoor
> aangeraden is. Wij kennen vooral Red Hat, maar ik hoorde dat Debian
> misschien beter zou zijn. Voor de firewall, welke packages moeten we
> zeker installeren? We zouden het zo doen

Ik heb mij altijd laten vertellen dat alle (RH,Debian,SuSE,MDK,...) even
veilig/onveilig zijn, en dat het vooral van de admin afhangt die de boel
moet "securen"... Met dat in het achterhoofd zou ik dan in dit geval RH
nemen, gezien je de RH way of working waarschijnlijk beter onder de knie
hebt... 
Ik herinner mij ooit een lijvig werk "Securing Red Hat" op het internet
gevonden te hebben, misschien is dat een extra "handleiding"???

/me verschuilt zich nu even voor de Debian gebruikers op deze ng 

Nico

-- 
Nico Declerck - netwerkbeheerder 
UZGent - Dienst voor Inwendige Ziekten - afdeling Pneumologie
nicoVERVANGDOORPUNTdeclerck@ugent.be - 09/2402626

Jocab wrote:
> 
> Wij hebben op dit ogenblik een eigen colocated Windows 2003-server bij
> een provider. We gebruiken een softwarefirewall, dit werkt, maar is
> niet erg goed. We hebben nu een tweede server aangekocht om in het
> rack te plaatsen en willen er Linux opzetten. Deze moet dienen als
> firewall voor de Windows-server �n als Linux-server zelf (voor Apache
> enz). We hebben 8 IP adressen (externe). De Linux server heeft 2 NIC's
> zodat we de IP adressen via de linux server naar de Windows-doos
> kunnen routen. Nu vroegen we ons af welke distributie hiervoor
> aangeraden is. Wij kennen vooral Red Hat, maar ik hoorde dat Debian
> misschien beter zou zijn. Voor de firewall, welke packages moeten we
> zeker installeren? We zouden het zo doen
> 
> ---INTERNET---router---Linux server (externe IP's)---Windows box
> (interne IP's?)

Even afgezien van de aankoop van SuSE door Novell, je kunt ook eens naar
SuSE kijken. Op een aantal punten zoals rpm en chkcontrol verschilt die
niet al te veel van Red Hat. Tot op heden stromen de security updates
voor 7.3 ook nog steeds binnen, de ondersteuning vind ik daarmee niet
slecht, meer dan twee jaar.

Zo'n SuSE systeem bouw ik in het algemeen als volgt op :
1. expert partitioning met ReiserFS en LVM,
2. minimale software configuratie,
3. tijd in UTC,
4. eraf gooien : providers, xfsutils, rsh, dhcpcd, finger,
5. toevoegen : xntpd, rsync, findutils-locate, bind9-utils,
6. security updates via "online_update -u
ftp://ftp.gwdg.de/pub/linux/suse/ftp.suse.com/suse/i386/update/"
7. syslog, logrotate e.d. goed configureren (update meteen logrotate :
http://data.mobach.nl/distributions/suse/i386/update/<versie>/rpm/i586/logrotate-3.6.6-22.i386.rpm
7. services toevoegen en configureren,
8. weer security updates via online_update,
9. firewall configureren en testen.

> Is het beter om de Windows box interne IP's te geven, of gewoon ze
> "door laten routen" door de Linux server en de externe IP's houden?

RFC 1918 IP adressen voor de Windows systemen lijkt me geweldig, kan men
er alleen via de Linux server bijkomen. Vergissingen resulteren dan niet
in rechtstreekse toegang tot die Windows systemen.
-- 
Fred Mobach - fred@mobach.nl - postmaster@mobach.nl
Systemhouse Mobach bv - The Netherlands - since 1976
website : http://fred.mobach.nl
Q: servos ad pileum vocare ?
A: servos venestrae ad pileum rubrem vocare !

"Jocab" <no@spam.com> schreef in bericht
news:no1usv8ipbe1db5a7irf7ho2npmnrue4pk@4ax.com...
> Wij hebben op dit ogenblik een eigen colocated Windows 2003-server bij
> een provider. We gebruiken een softwarefirewall, dit werkt, maar is
> niet erg goed. We hebben nu een tweede server aangekocht om in het
> rack te plaatsen en willen er Linux opzetten. Deze moet dienen als
> firewall voor de Windows-server �n als Linux-server zelf (voor Apache
> enz). We hebben 8 IP adressen (externe). De Linux server heeft 2 NIC's
> zodat we de IP adressen via de linux server naar de Windows-doos
> kunnen routen. Nu vroegen we ons af welke distributie hiervoor
> aangeraden is. Wij kennen vooral Red Hat, maar ik hoorde dat Debian
> misschien beter zou zijn. Voor de firewall, welke packages moeten we
> zeker installeren? We zouden het zo doen
>
>
> ---INTERNET---router---Linux server (externe IP's)---Windows box
> (interne IP's?)
>
> Is het beter om de Windows box interne IP's te geven, of gewoon ze
> "door laten routen" door de Linux server en de externe IP's houden?

naar mijn bescheiden mening zullen je 8 externe adressen
vroeg of laat niet meer volstaan en dan zul je toch
met een tweede set adressen gaan werken.
doe dat maar beter ineens.
(lokale adressen typisch in 192.168.xxx.(0-254)
maar echt verplicht is dat niet)

verder houd ik niet erg van het idee om de firewall-machine
tegelijk als server te laten dienen, voor maximale security
gaat ge die machine voor NIKS anders gebruiken

idealerwijs zet ge de firewallmachine op met drie kaarten:
eentje naar de router,
de tweede naar een beperkt aantal servers die wel uw externe adressen
voeren
(dit noemt ge dan de DMZ machines en ge schermt ze af zoveel ge maar
kunt)
en een derde naar een plaatselijk netwerk waarop alle PC's en dergelijke
in dit derde segment mag het er dan al wat losser aan toe gaan

(waar ik werk hebben we nogal een zeer uitgebreid netwerk
en de twee firewall-machines hebben elks 9 jawel NEGEN
netwerkkabels...)

wat betreft de distro: ik ben geneigd akkoord te gaan
met een eerder antwoord nl. dat alle Linux'en ten gronde
gelijkwaardig zijn op dit punt
maar bekijk misschien eens BSD?
'k heb er zelf geen ervaring mee maar heb me
altijd laten vertellen dat dit kwa security heel sterk is

en nog ��n tip: als ge zelf webhosting gaat draaien
gaat uw directie vroeg of laat vragen om 'high availability'
denk vanaf het begin aan een tweede firewall-machine
en een zo eenvoudig mogelijke overschakeling,
idealerwijs volautomatisch

suk6!
KA

karel adams wrote:
> naar mijn bescheiden mening zullen je 8 externe adressen
> vroeg of laat niet meer volstaan en dan zul je toch
> met een tweede set adressen gaan werken.

In negen van de tien gevallen zijn de zes adressen die je kunt gebruiken
ruim voldoende.

Port forwarding is een oplossing. Virtual host is een andere oplossing.


Uiteraard is het eenvoudiger om voor elke bak een ander extern IPadres
te gebruiken. ZO heb ik geweten dat een firma voor hun interne machines,
externe IPadressen gebruikte. Er stond een router en een firewall
tussen. Je kon de bakken dan ook niet van buiten uit zien.

Makkelijk? Ja, nuttig? Nee.
(Ik weet ook wel dat er uitzonderingen zijn.)


-- 
houghi
> How to ask questions on Usenet : 
				http://www.houghi.org/question
Take a look and pass the word.